Derecho al Olvido RGPD: Hallazgos EDPB 2025
Actualizado para 2026
Acción de Control EDPB 2025
El Comité Europeo de Protección de Datos llevó a cabo una acción importante en 2025. Se centró en el artículo 17 del RGPD — el derecho de supresión. Participaron treinta y dos APD de la UE y el EEE. Todas actuaron al mismo tiempo. El objetivo era detectar fallos sistémicos, no casos aislados.
Esta acción es el Marco de Control Coordinado, o CEF. Nueve APD han abierto desde entonces investigaciones formales basadas en sus resultados.
Siete Incumplimientos Recurrentes
El informe CEF identificó siete problemas en las organizaciones investigadas:
- Procedimientos internos débiles para gestionar solicitudes de supresión
- Rechazo excesivo de solicitudes válidas
- Carga indebida impuesta a las personas que presentan solicitudes
- Incapacidad para localizar todos los registros personales entre sistemas
- Retrasos que superan el plazo de 30 días del RGPD
- Comunicación deficiente a las personas sobre el resultado de sus solicitudes
- Seudonimización defectuosa utilizada en lugar de la eliminación. Las organizaciones alegaban "anonimización" pero dejaban los registros rastreables.
El séptimo punto es el más complejo. Afecta a cualquier organización que utilice este método para reducir los registros personales conservados.
Anonimización vs. Eliminación
El derecho de supresión del RGPD no siempre requiere una eliminación completa. El considerando 65 permite este enfoque cuando la eliminación no es factible. Las copias de seguridad y los sistemas de análisis son ejemplos comunes.
El CEF muestra que esta opción está siendo mal utilizada. Las organizaciones califican un proceso de "anonimización" para evitar la eliminación real. Pero el proceso deja los registros rastreables.
El CEPD traza una línea clara.
La verdadera anonimización significa que el vínculo entre los registros y una persona no puede reconstruirse. Ni el responsable ni ningún tercero puede restablecerlo. Esos registros quedan fuera del ámbito del RGPD. La solicitud queda satisfecha.
La seudonimización es diferente. La reidentificación sigue siendo posible con la clave correcta. Los registros personales siguen existiendo. La solicitud no queda satisfecha. Los registros deben eliminarse o la clave debe destruirse.
Un Enfoque de Dos Capas
Las organizaciones que usan este método en análisis necesitan dos capas.
Capa 1 — Ingesta: Los registros personales sin procesar llegan aquí. Estos registros están sujetos a solicitudes de eliminación. Cuando una persona invoca sus derechos del artículo 17, los registros de esta capa se eliminan.
Capa 2 — Análisis: Solo las salidas anonimizadas llegan a esta capa. Si el proceso fue completo e irreversible, estas salidas no son personales. No cambian cuando llega una solicitud de eliminación.
Esta estructura solo funciona si el paso de enmascaramiento supera tres pruebas.
Primera: irreversible. Los tokens reversibles y las sustituciones cifradas no son válidos.
Segunda: completo. Todos los tipos de identificadores deben tratarse. Los nombres solos no son suficientes.
Tercera: documentado. La organización debe poder mostrar a una APD cómo funciona el método.
Un minorista que reemplaza los nombres de clientes con tokens cifrados ha seudonimizado los registros — no los ha eliminado. La capa de análisis sigue conteniendo registros personales. Las solicitudes de eliminación siguen aplicándose.
Nuestra guía de cumplimiento del RGPD cubre la base legal de cada enfoque. Nuestro resumen de cumplimiento de seguridad enumera los controles necesarios. Para una guía paso a paso, consulte nuestra guía de auditoría de anonimización RGPD.